Kritische Lücke im WordPress-Theme Avada erlaubt Codeausführung

Was passiert ist

Sicherheitsforscher haben in Avada, einem der meistgenutzten kommerziellen Themes für WordPress, eine kritische Schwachstellenkette gefunden. Mehrere Einzelprobleme lassen sich so kombinieren, dass ein Angreifer beliebigen PHP-Code auf dem Webserver ausführen kann.

Besonders kritisch ist die Ausgangslage für einen Angriff: Nach den vorliegenden Angaben ist keine Anmeldung am System nötig. Ein Angreifer benötigt also weder ein Redakteurskonto noch Administratorrechte, sondern kann die Lücke allein durch Aufrufe von außen ausnutzen. Solche Angriffe laufen ohne Zutun eines Nutzers ab – niemand muss auf einen Link klicken oder einen Anhang öffnen.

Wer Code auf dem Server ausführen kann, hat faktisch die Kontrolle über die Website. Typische Folgen sind das Einschleusen von Hintertüren, das Auslesen von Datenbankinhalten samt Zugangsdaten, das Umleiten von Besuchern auf Betrugsseiten oder die Nutzung des Servers als Sprungbrett für weitere Angriffe.

Warum das für kleine und mittlere Unternehmen relevant ist

WordPress ist in vielen KMU die Standardlösung für die Unternehmenswebsite, und kommerzielle Themes wie Avada sind dort weit verbreitet. Oft wurde die Seite einmal von einer Agentur aufgesetzt und läuft seitdem ohne festen Wartungsvertrag weiter. Theme-Updates werden dabei häufiger übersehen als Updates des WordPress-Kerns, weil sie eine gültige Lizenz voraussetzen und nicht automatisch eingespielt werden.

Massenhaft genutzte Komponenten sind für Angreifer attraktiv, weil sich ein funktionierender Exploit automatisiert gegen sehr viele Ziele richten lässt. Ob hinter der Seite ein Konzern oder ein Betrieb mit zwölf Beschäftigten steht, spielt dabei keine Rolle.

Hinzu kommt: Enthält die Website ein Kontaktformular, einen Shop oder einen Newsletter, sind personenbezogene Daten betroffen. Ein erfolgreicher Angriff kann damit auch eine meldepflichtige Datenschutzverletzung nach sich ziehen.

Was Sie jetzt tun sollten

• Prüfen Sie im WordPress-Backend unter „Design“, ob Avada oder ein davon abgeleitetes Child-Theme im Einsatz ist, und notieren Sie die installierte Version.
• Spielen Sie die aktuelle Theme-Version ein, sobald sie verfügbar ist – für kommerzielle Themes ist dafür meist eine gültige Lizenz nötig; erneuern Sie diese gegebenenfalls.
• Legen Sie vor dem Update eine vollständige Sicherung von Dateien und Datenbank an und prüfen Sie, ob sich diese auch zurückspielen lässt.
• Sehen Sie nach ungewöhnlichen PHP-Dateien, neuen Administratorkonten oder auffälligen Zugriffen in den Serverprotokollen; bei Verdacht auf eine Kompromittierung sollten Sie alle Zugangsdaten wechseln.
• Klären Sie verbindlich, wer für Updates Ihrer Website zuständig ist – interne Verantwortliche oder Dienstleister mit Wartungsvertrag – und legen Sie einen festen Prüfrhythmus fest.